Segurança e Dados
Soberania digital: por que dados e data centers no Brasil importam
Soberania digital no Brasil: 60% dos dados processados no exterior, a Lei 15.504/2026 (Redata), a Nuvem de Governo, o CLOUD Act e critérios para gestores.
Cerca de 60% das cargas de dados e de inteligência artificial usadas no Brasil ainda são processadas fora do território nacional, segundo o Ministério da Fazenda. Esse número está na origem da Política Nacional de Data Centers e do Regime Especial de Tributação para Serviços de Datacenter (Redata), transformado na Lei nº 15.504, sancionada em 15 de setembro de 2026. No setor público, a mesma preocupação levou à criação da Nuvem de Governo, operada por Serpro e Dataprev. Soberania digital, nesse contexto, é a capacidade de o país decidir sob quais leis seus dados são guardados, quem opera a infraestrutura e o que acontece se um fornecedor estrangeiro deixar de prestar o serviço.
O que significa soberania digital na prática
O conceito tem mais de uma camada. Localizar o servidor no Brasil resolve parte da questão, mas não toda. Debates recentes, como o promovido no Conip Jud em 2026 e registrado pelo Serpro, e análises publicadas no Conjur em março de 2026, apontam pelo menos três dimensões:
- jurisdição: a que leis os dados estão sujeitos, inclusive leis estrangeiras que alcançam o provedor;
- operação: quem tem acesso administrativo à infraestrutura, quem aplica atualizações e quem pode desligar o serviço;
- tecnologia: dependência de software, chips e plataformas proprietárias que não podem ser substituídos rapidamente.
Um data center em São Paulo operado por empresa sujeita a lei estrangeira atende à dimensão territorial, mas não necessariamente à jurisdicional. Por isso a discussão sobre soberania no governo passou a olhar para contrato, controle operacional e plano de saída, e não apenas para o endereço do servidor.
O problema do alcance extraterritorial
O CLOUD Act, lei dos Estados Unidos de 2018, permite que autoridades americanas exijam dados de empresas com vínculo jurisdicional naquele país, independentemente de onde os dados estejam armazenados. A ordem é dirigida ao provedor, e o órgão ou a estatal brasileira que contratou o serviço pode não ser notificado, nem o Poder Executivo consultado.
O ponto para o gestor público é que dados sob sigilo fiscal, bancário ou de segurança, quando hospedados em provedor com nexo estrangeiro, ficam expostos a uma ordem que a administração brasileira não controla.
A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) trata do tema nos artigos 33 a 36, que regulam a transferência internacional de dados pessoais e exigem mecanismos como cláusulas contratuais aprovadas pela autoridade nacional ou decisão de adequação do país de destino.
A resposta do governo federal: Nuvem de Governo
Em novembro de 2024, o Ministério da Gestão e da Inovação em Serviços Públicos (MGI) assinou acordos com Serpro e Dataprev para criar a Nuvem de Governo. Desde junho de 2025, mais de 250 órgãos federais podem contratar os serviços pelos catálogos das duas empresas.
O modelo usa tecnologia de provedores globais (AWS, Google, Huawei e Oracle, conforme a empresa pública) instalada dentro dos data centers de Serpro e Dataprev. A gestão é exclusiva das estatais e os dados permanecem no país. O MGI determinou que o ambiente seja usado especialmente para dados com sigilo fiscal, bancário, comercial, empresarial, contábil, de segredo industrial e de direito autoral, e para informações classificadas em grau de sigilo. A meta de concluir essa migração até 2027 consta da Ação 27 do Plano Brasileiro de Inteligência Artificial (PBIA).
O arranjo equilibra duas pressões. Construir uma nuvem inteiramente nacional, com tecnologia própria, seria lento e caro. Usar diretamente a nuvem pública estrangeira para dados sigilosos deixaria a jurisdição e a operação fora do controle do Estado. A solução híbrida mantém jurisdição e operação nacionais, com dependência tecnológica ainda presente.
Redata: a política para trazer data centers ao país
Da medida provisória à lei
O Redata foi criado pela Medida Provisória nº 1.318, de setembro de 2025, como parte da Política Nacional de Data Centers (PNDC), vinculada à Missão 4 (transformação digital) da Nova Indústria Brasil. A exposição de motivos foi assinada por MDIC, Ministério da Fazenda e Ministério de Minas e Energia em 16 de setembro de 2025. A MP perdeu a validade em 25 de fevereiro de 2026 sem ser convertida, e o conteúdo foi reapresentado no Projeto de Lei nº 278/2026. A Câmara aprovou o texto em 24 de fevereiro de 2026 e o Senado, em 1º de setembro de 2026. A sanção ocorreu em 15 de setembro de 2026, dando origem à Lei nº 15.504/2026.
O que a lei concede e exige
| Item | Regra da Lei nº 15.504/2026 |
|---|---|
| Quem pode aderir | Pessoas jurídicas com projetos de instalação, modernização ou ampliação de data centers no Brasil |
| Benefício | Suspensão de Imposto de Importação, PIS/Cofins, PIS/Cofins-Importação e IPI na compra de equipamentos |
| Duração | Cinco anos |
| Renúncia estimada | R$ 5,2 bilhões em 2026 e R$ 1 bilhão em cada um dos dois anos seguintes |
| Energia | Toda a demanda contratada suprida por fontes renováveis ou de baixa emissão, a definir em regulamento |
| Pesquisa e desenvolvimento | 2% do valor dos produtos adquiridos em projetos ligados às cadeias da economia digital |
| Mercado interno | Ao menos 10% da capacidade de processamento, armazenamento e tratamento de dados ofertada ao mercado brasileiro |
| Incentivo regional | Redução de 20% das duas contrapartidas para projetos no Norte, Nordeste e Centro-Oeste |
A versão inicial exigia 100% de energia limpa ou renovável. O Senado ampliou o critério para "renovável ou de baixa emissão", o que abriu espaço para o gás natural, segundo sinalização do Ministério de Minas e Energia. A definição exata depende de regulamento, e o MDIC já abriu tomada de subsídios para a lista de equipamentos beneficiados.
A contrapartida de 10% de capacidade para o mercado interno é a que mais se conecta à soberania: ela assegura que parte da infraestrutura incentivada atenda clientes brasileiros, e não apenas demanda externa.
O tamanho do mercado brasileiro
O Brasil atingiu 1 gigawatt (GW) de capacidade de TI comissionada em data centers no primeiro trimestre de 2026, segundo dados da datacenterHawk divulgados pela Associação Brasileira de Data Center (ABDC). Em dezembro de 2025, a ABDC estimou que os novos projetos em curso devem adicionar 2.000 megawatts (MW) à capacidade existente, com investimentos de cerca de US$ 20 bilhões.
Segundo a ABDC, a disponibilidade de energia renovável, a conectividade internacional e a possibilidade de atender empresas locais estão entre os fatores que atraem esses investimentos. O custo dos equipamentos importados, por sua vez, é o alvo direto do Redata.
Critérios para o gestor público
A soberania digital se traduz em decisões concretas de contratação. Antes de hospedar um sistema, o órgão deve responder às perguntas abaixo.
- Qual a classificação dos dados? Informações com sigilo legal ou classificadas devem ir para a Nuvem de Governo, no caso de órgãos federais, ou para ambiente com controle equivalente.
- Onde os dados ficam armazenados e onde são processados, inclusive cópias de segurança e réplicas de recuperação de desastre?
- O provedor está sujeito a lei estrangeira com alcance extraterritorial? Em caso positivo, o contrato prevê notificação ao cliente em caso de requisição de autoridade estrangeira, na medida em que a lei permita?
- Quem tem acesso administrativo à infraestrutura e de qual país opera o suporte?
- Há transferência internacional de dados pessoais? Se sim, qual o mecanismo previsto nos artigos 33 a 36 da LGPD?
- Os dados podem ser exportados em formato aberto, e existe plano de saída testado?
- As chaves de criptografia ficam sob controle do órgão ou do provedor?
- O serviço continua funcionando se a conexão internacional for interrompida?
Erros comuns
O primeiro é tratar "data center no Brasil" como sinônimo de soberania, sem verificar jurisdição do provedor e controle das chaves de criptografia. O segundo é migrar sistemas críticos sem cláusula de portabilidade, o que transforma a dependência tecnológica em dependência contratual. O terceiro é o oposto: recusar qualquer nuvem pública, inclusive para dados abertos e portais sem informação sensível, o que encarece a operação sem ganho real de proteção.
O que acompanhar
Os próximos meses definem o alcance prático da agenda. A regulamentação da Lei nº 15.504/2026 dirá quais fontes de energia contam como de baixa emissão e quais equipamentos terão a suspensão tributária. A migração de dados sigilosos para a Nuvem de Governo tem prazo em 2027. E a evolução da capacidade instalada, hoje em torno de 1 GW, mostrará se os anúncios de investimento se convertem em infraestrutura efetivamente operando no país.
Fontes
- Sancionada lei de incentivo à instalação de data centers, Senado Notícias, 2026
- Incentivo para instalação de data centers no Brasil é aprovado pelo Senado, Senado Notícias, 2026
- Lei que aprova Regime Especial de Tributação para Data Centers, Mattos Filho, 2026
- EMI nº 00010/2025 MDIC MF MME (exposição de motivos da MP 1.318/2025), Planalto, 2025
- Redata: regime especial de tributação para data centers é sancionado e MME sinaliza espaço para o gás natural, BMA Advogados, 2026
- Data centers no Brasil 2026: mapa de projetos e players, GRI Hub News, 2026
- Localizar o servidor no Brasil não é suficiente para soberania digital, Conjur, 2026
- Soberania digital exige controle sobre dados e operação, aponta debate no Conip Jud, Serpro, 2026
- Soberania Digital: Brasil consolida a Nuvem de Governo, Agência Gov, 2025
- Ministério da Gestão fortalece soberania digital com Nuvem de Governo gerida por Serpro e Dataprev, MGI, 2025